Privacywijzer Ondernemingsraad – CBP | Nieuwe gids door Hogan Levels

Rol en verantwoordelijkheden van de Raad

Het belangrijkste is dat de AP stelt dat de Werkgroep nauw betrokken is bij afspraken over de implementatie van werknemersgegevens en werknemersmonitoringsystemen en dat de Ondernemingsraad een gezamenlijke verantwoordelijkheid heeft voor de verwerking en bescherming van persoonsgegevens op het werk. Door deze rapportages creëert AP een soort interne toezichthoudende rol voor de taskforce in de privacysector. Dit is echter geen rol of verantwoordelijkheid die voortkomt uit de WCA of AVG, en in onze ervaring heeft de Takenraad geen rol te spelen. In wezen ligt de verantwoordelijkheid voor het verwerken van persoonsgegevens en het bewijzen van naleving van de AVG uitsluitend bij de werkgever en staat deze onder toezicht van de toezichthoudende autoriteit. Vanuit het oogpunt van de AVG kan de werkgroep niet aansprakelijk worden gesteld voor niet-naleving van de AVG en kan de boete alleen worden opgelegd aan de werkgever of zijn uitvoerder, maar niet aan de werkgroep.

Op grond van de WOR behoudt de Werkgroep zich het recht voor om de persoonsgegevens van werknemers, beleid of interne regelgeving met betrekking tot het monitoren van werknemers te verwerken en te beschermen, en voorgenomen besluiten van de werkgever aan te kondigen (op te schorten). Systemen en aanwezigheid of personeelsprestaties. Als een werkgever bijvoorbeeld van plan is zijn privacybeleid voor werknemers te wijzigen om software te implementeren om de workflow, klantcontact of toegang tot documenten (registratie) te bewaken, moet de taskforce op de hoogte worden gesteld en om goedkeuring worden gevraagd op grond van de WCA. De werkgroep hoeft de naleving van de basisprincipes van het BBP, zoals legitimiteit en proportionaliteit, echter niet te overwegen of te evalueren. De taskforce is niet verplicht om gegevensbeveiligingseffectbeoordelingen, registraties van verwerkingsactiviteiten, incidentregistraties, internationale overdrachtsmechanismen of (andere) documenten die zijn opgesteld voor naleving van de AVG door de werkgever, te verwerken of te beoordelen.

Controlesystemen voor werknemers

Verrassend genoeg definieert de AP het concept van een “personeelsbewakingssysteem”, dat verwijst naar expliciete voorbeelden zoals Track & Trace-systemen, CCTV, GPS-trackers, wearables en slimme horloges. Hoewel de AP de opname erkende van een voorbeeldtoegang tot passende beveiligingsmaatregelen, stelt het ook dat “het gebruik van werknemersbewakingssystemen altijd de privacy van werknemers schendt.” De AP-werkgroep beveelt aan de volgende vragen te stellen om de werkgroep te helpen bij het nemen van weloverwogen beslissingen over het al dan niet instemmen met de voorgenomen beslissingen van de werkgever over beleid of interne regelgeving die leiden tot monitoring, ontslag, wijziging of intrekking van werknemers:

• Wordt het beleid of de regeling beschouwd als een medewerkersvolgsysteem?
• Is het nodig dat de werkgever gebruik maakt van het werknemersvolgsysteem?
• Worden medewerkers voorafgaand aan monitoring op de hoogte gesteld van intenties, gebruik en retentie?
• Zullen prestatiebeoordelingen uitsluitend gebaseerd zijn op gegevens die zijn verzameld via systemen voor werknemersmonitoring?

Ondanks de hierboven genoemde punten, biedt de Privacygids enkele nuttige richtlijnen, met name over het basisbeleid van de AP met betrekking tot het BBP en de visie van de AP op systemen voor toezicht op werknemers. Het moet echter slechts als richtlijn worden beschouwd, waarbij in gedachten moet worden gehouden dat het niet de rol van de taskforce is om op te treden als interne toezichthouder voor de privacykwesties van het personeel en dat de taskforce geen collectieve verantwoordelijkheid heeft in deze.

Andreas Hausselmann, juridisch medewerker op ons kantoor in Amsterdam, heeft bijgedragen aan deze inzending.